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(57) Abstract: The invention 
relates to a program-controlled 
unit comprising a single 
controller core provided with 
a first and at least one second 
execution unit that can be 
independently operated in a first 
operating mode and execute the 
same commands in parallel in 
a second operating mode. 

(57) Zusammenfassung: Die 

vorliegende Erfindung schafft 
eine programingesteuerte 
Einheit, mit einem einzigen 
Kontrollerkein (Core), der 
eine erste und zumindest eine 
zweite Ausfuhrungseinheit 
aufweist, die in einem ersten 
Betriebsmodus unabhangig 
voneinander betreibbar sind 
und die in einem zweiten 
Betriebsmodus parallel die 
gleichen Befehle abarbeiten. 
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Programm pesteuerte FJnheit und Verfahren 
STAND DER TECHNTK 

Die Erfindung betrifft eine programmgesteuerte Einheit sowie ein Verfahren zum Betreiben dieser 
programmgesteuerten Einheit. 

Derartige programmgesteuerte Einheiten sindbeispielsweise als Mikroprozessoren, MikroconttoUer, 
Signalprozessoren oder dergleichen ausgebildet. Ein MikroconttoUer weist einen Mikroconttollerkem, 
den sogenannten Core, einen oder mehrere Speicher (Programmspeicher, Datenspeicher, etc.), Peri- 
pheriekomponenten (OszUlator, I/O-Ports, Timer, AD-Wandler, DA-Wandler, Kommunikations- 
schnittstellen) und ein Interrupt-System auf, die gemeinsam auf einem Chip integriert sind und die 
fiber einen bzw. mehrere Basse (interner, extemer Daten-/Adressbus) miteinander verbunden sind. Der 
Aufbau und die Funktionsweise einer solchen programmgesteuerten Einheit ist vielfech bekannt, so 
dass darauf nicht naher eingegangen wird. 

Der Mikrokontrollerkem ist im Sinne eines modularen Mikrocontrollerkonzepts die On-Chip integ- 
rierte zenttale Steuereinheit (CPU). Dieser beinhaltet im wesentlichen ein mehr oder weniger komple- 
xes Steuerwerk, mehrere Register (Datenregister, Adressregister), eine BussteuereinheH und eine Re- 
cheneinheit (ALU = arithmetisch logische Einheit), die die eigenfliche Daten verarbeitende Funktion 
ubernimmt. Eine solche ALU-Recheneinheit kann meist nur einfeche Elementaroperalionen mit ma- 
ximal zwei beteiligten Eingangsdaten (Operanden) ausfuhren. Diese Operanden sowie die Ergebnisse 
der Berechnung konnen vor bzw. nach der Verarbeitung in eigens dafiir vorgesehenen Registern- oder 
Speicherstellen untergebracht sein. Bei der Verarbeitung der Operanden kann es allerdings zu Fehlern 
kommen, die sich nachteilig auf das Ergebnis auswirken. Ein solcher Fehler kann dadurch entstehen, 
dass zumindest ein eingangsseitig in die ALU-Einheit eingekoppelter Operand verfilscht wird. Dies 
kann beispielsweise dadurch geschehen, dass das jeweilige Eingangsdatum reprasentieiende Potenzial 
hoher bzw. niedriger als vorgesehen ist Ist diese Ladungsanderang groB genug, kann ein einen logi- 
schen Zustand reprasenlierendes Potenzial in ein einen anderen logischen Zustond reprasenuerendes 
Potenzial geandert werden. Beispielsweise kann ein eine logische "1" reprasenlierendes Potenzial in 
ein eine logische "0" reprasenuerendes Potenzial und umgekehrt geandert werden, wodurch aber das 
resultierende Ergebnis signifikant verfalscht wird 

Mit der zunehmenden Entwicklung der Halbleiterprozesstechnik bin zu kleineren Abmessungen und 
niedrigeren Betriebsspannungen nimmt die WahrscheinUchkeit solcher Fehler zu. Aus diesem CSrunde 
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sind moderne Mikroprozessorsysteme mit einem System zu Fehlereikennung bzw. FeMerbeseitigung 
ausgestattet, mit denen ein auftietender Fehler identifiziert und angezeigt werden kann (Failure Identi- 
fication) bzw. in Abhangigkeit von der FunMonalitat des Systems Vorkehrungen im FaUe eines auf- 
tretenden Fehlers getroffen werden konnen. Ein derartiges Fehlerkorrektursystem kann beispielsweise 
mittels einer ECC-Fehlerkorrektur (Error Checking and Correction) ausgestattet sein, die zum Schutz 
wichtiger Daten beitragt Urn auf Fehler reagieren zu konnen, sind moderne Mikrokontrollersysteme 
in der Regel mit einer Fehlererkennungssystemen basierend auf einer redundanten SystemfiinktionaU- 
tat ausgestattet. Eine Systemredundanz kann z.B. durch zeitlich versetzte mehrfeche Berechnung 
(Temporary Redundancy) oder durch zusatzliche Schaltkreise (Hardware Redundancy) realisiert wer- 
den. Im ersteren FaUe, in dem ein Applikationsprogramm mehrfach zeitlich hintereinander durchge- 
fuhrt wird, konnen zwar sporadische bzw. statistische Fehler, welche wahrend des Betriebes entstehen, 
erkannt werden. Allerdings erlaubt diese Art von Redundanz lediglich eine Fehlererkennung und eine 
emgeschrankte Fail-Safe-Funkuonalitat, die daruber binaus auch sehr zeitaufwendig ist, was die Leis- 
tungsfahigkeit des gesamten Systems beeintrachngt Eine FeMerbeseitigung ist bier nicht moglich. 

Aus diesem Grunde werden hauptsachlich Fehlererkennungssysteme auf der Basis einer Hardware- 
Redundanz verwendet, bei denen die redundante, d h. doppelt vorgesehene Hardware das Applikati- 
onsprogramm parallel ausfuhrt. In der internationalen Patentanmeldung WO 01/46806 mit dem Titel 
"Firmware Mechanism for Correcting soft Errors", welches dem Deutschen Patent Nr. DE 100 85 324 
Tl entspricht, ist ein Computersystem beschrieben, das eine Hardware redundante Fehlererkennung 
aufweist. Das in der WO 01/46806 beschriebene Computersystem besteht aus zwei unabhangig von- 
einander betreibbaren Mikroprozessorkemen (Cores) und einer den beiden Cores nachgeschalteten 
Vergleichseinheit. hi den beiden Cores konnen in einem ersten Betriebsmodus (Normalbetrieb) Be- 
fehle und Daten unabhangig voneinander bearbeitet werden. In einem zweiten, sogenannten Lock- 
Step-Betriebsmodus (Testbetrieb) werden die beiden Cores redundant betrieben, d h. in beiden Cores 
werden gleiche Befehle verarbeitet Die Ergebnisse der im redundanten Betriebsmodus betriebenen 
Cores werden nach MaBgabe einer Fehlerbehandlungsroutine in der Vergleichseinheit miteinander 
verglichen und bei Nfchrabereinstimmen wird ein Fehlersignal erzeugt. Auf diese Weise konnen die 
Rjegisterinhalte der Cores gesichert werden. Aus den so gesicherten Daten kann der Status des Mikro- 
prozessors vor dem Auftreten des Fehlerereignisses wieder hergestellt werden. 

Nachteilig an der in der WO 01/46806 beschriebenen Losung ist der dafur erforderhche Zusatzauf- 
wand zur Bereitstellung des redundanten Systems, vor allem da dort der gesamte Core doppelt vorge- 
sehen ist. Insbesondere bei sehr komplexen Mikrocontrollern mit folgUch einem komplexen Steuer- 
werk und einer komplexen Bussteuereinheit ist der fur die Redundanz erforderhche zusatzliche Chip- 
flachenaufwand sehr groB. Bei Cbipflachen kritischen MikrocontroUersystemen ist die Bereitstellung 
solcher Cbipflachen verbrauchender Einheiten kontraproduktiv und wird vom Verbraucher zuneh- 
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mend nicht mehr akzeptiert Allein aus diesem Grande besteht somit derBedarf, durch eine Verringe- 
rung der Chipflache raid damit einer Reduzierung der Produktkosten sich von im wesentlichen runkti- 
onsgleichen Konkurrenzprodukten auf dem Markt zu unterscheiden. Dies stellt einen erheblichen 
Wettbewerbsvorteil dar. 

5 

Mit der in der WO 01/46806 beschriebenen Anordnung lasst sich auflerdem keine Fehlerqualifizierung 
durchfuhren, so dass nicht festgestellt werden kann, wo der Fehler tatsachlich aufgetreten ist. Es findet 
lediglich eine Fehlererkennung statt. Ein Fehler kann jedoch an verschiedenen Stellen des Systems 
auftreten, z.B. kann ein Fehler auf einer Busleitung oder aufgrund einer fehlerhaften Operation inner- 
1 0 halb einer Recheneinheit bzw. einer Vergleichseinheit auflreten. Es besteht damit auch der Bedarf 
einer Fehlerqualifizierung. 



VORTEILE DER ERFDSIDUNG 



1 5 Die erfindungsgemaBe programmgesteuerte Einheit mit den Merkmalen des Patenanspruchs 1 sowie 
das erfindungsgemaBe Verfahren mit den Merkmalen des Patentanspruchs 11 weist gegenuber den 
obigen bekannten Losungsansateen den Vorteil auf, eine insbesondere hinsicMich des Cmpflachenbe- 
darfes f«ntimiprte imrl vereinfachte Fehlerkorrektur bereitzustellen. 



20 Der Erfindung liegt die Erkennlnis zugrunde, dass fur eine Fehlererkennung nicht der gesamte Mikro- 
controllerkem redundant sein muss. Es reicht vielmehr vSllig aus, dass lediglich die Ausfuhrungsein- 
heit, in der letztendlich die Rechenoperationen vorgenommen wird, redundant ist Eine solche pro- 
grammgesteuerte Einheit mit Fehlererkennung kommt damit im Vergleich zu dem obigen bekannten 
System mit sehr viel weniger Chipflache aus, da auf das doppelte Vorsehen von Steuerwerk, Bussteu- 

25 ereinheit und Register, die innerhalb eines MikrocontroUerkerns die grofite Chipflache einnehmen, 
verzichtet werden kann. 

Die der Erfindung zugrunde hegende Idee besteht somit in der Duplizierung lediglich der Ausfuh- 
rungseinheit des MikrocontroUerkerns. Damit ist eine voll funktionsfahige Fehlererkennung moglich, 

30 wobei die resllichen Komponenten eines MikrocontroUerkerns, wie zum Beispiel Steuerwerk und 
Bussteuereinheit, durch andere Fehlererkennungsmechanismen basierend auf Fehlererkennung- oder 
Fehlerkorrekturcodes abgesichert werden. Es lasst sich damit eine programmgesteuerte Einheit mit 
FeUererkennungseinrichtung bereitslellen, die mit deuUich geringerer Chipflache auskommt als her- 
kommliche programmgesteuerte Einheiten, die zur Fehlererkennung einen mit zwei Mikrocontroller- 

35 kernen ausgestatteten, sogenannten Dual-Core-Mikrocontroller aufweisen. Die Chipflache der erfin- 
dungsgemaCen programmgesteuerten Einheit bzw. deren Femererkennungseinrichtung ist zwar grofier 
als die Chipflache von sogenannten Single-Core programmgesteuerten Einheiten, die also lediglich 
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einen Mikrocontrollerkem und somit keine Fehlereikennungseinrichtung aufweisen. Jedoch ist die 
Chipflache der erfindungsgemaBen programmgesteuerten Einheit bzw. deren Fehlererkennungsein- 
richtung gegenuber den Dual-Core-Mkrocontrollem signifikant reduziert. 

5 Der besondere Vorteil des erfindungsgemaBen Verfahrens bzw. der erfindungsgemaBen Anordnung 
besteht auch darin, dass ein Fehler innerhalb eines Taktzyklus erkannt werden kann und somit sehr 
schnell entsprechende Korrekturmafinabmen eingeleitet werden konnen. Auf diese Weise ist die Leis- 
tungsfahigkeit des gesamten Systems nahezu unbeeintrachtigt. 

10 Ein weiterer Vorteil der vorliegenden Erfindung besteht darin, dass neben der Erkennung eines Fehlers 
auch eine Feblerqualifizierung moglich ist, dass heifit es kann bestimmt werden, an welchem Feblerort 
innerhalb der programmgesteuerten Einheit der Fehler aufgetreten ist. 

Vorteilhafte Ausgestaltungen und Weiterbildungen der Erfindung sind den Unteranspruchen sowie der 
15 Beschreibung unter Bezugnahme auf die Zeichnung entnehmbar. 

Die erfindungsgemaBe programmgesteuerte Einheit weist einen ersten Behiebsmodus, nachfolgend als 
Normalbetrieb bezeichnet, und einen zweiten Behiebsmodus, nachfolgend als Testbetrieb bezeichnet, 
au£ Die programmgesteuerte Einheit weist einen einzigen MikrocontroUerkem auf, der jedoch mit 

20 zwei Ausfuhrungseinheiten ausgestattet ist. Unter einer Ausfflhrungseinheiten ist z. B. eine arimme- 
tisch logische Einheit (ALU) zu verstehen, in der die eigentlichen Datenveraibeitungsfunklionen vor- 
genommen werden. Die Ausfuhrungseinheit wird haufig auch als Rechenwetk oder Kecheneinheit 
bezeichnet Im Normalbetrieb konnen, miissen jedoch nicht notwendigerweise, die beiden Ausfuh- 
rungseinheiten Befehle parallel verarbeiten. Im Testbetrieb erfolgt die Fehlereikennung. Im Tesme- 

25 ttieb werden gleiehe Befehle parallel in beide Ausfuhrungseinheiten eingekoppelt Aus dem Vergleich 
der beiden Ergebnisse kann somit das Vorhandensein eines Fehlers detektiert werden. 

Zu diesem Zweck ist eine Fehlererkennungseinrichtung vorgesehen, die im Testbetrieb eine Fehlerer- 
kennung und/oder eine Fehlerkorrektur vomimmt Eine Korrektur eines in der Ausfuhrungseinheit 
30 entdeckten Fehlers erfolgt nach MaBgabe einer Fehlerbehandlungsroutine (Fehlerkorrekturverfkhren) 
durch Wiederholung eines entsprechenden Befehls. Hierzu sind je nach Beschaffenheit des Cores 
Schattenregister fur die Eingangsregister notwendig. 

Zum Zwecke der Fehlerkorrektur weist die Fehlererkennungseinrichtung einen Kodierer auf, mittels 
35 dem Daten mit einem Fehlererkennungs- und/oder einem FeWerkorrekturcode versehen werden. Dabei 
werden Ergebnisdaten, die in Folge der Berechnung ausgangsseitig an den Ausfuhrungseinheiten 
abgreifbar sind, mit dem entsprechenden Fehlerkerkennungscode bzw. Fehlericorrekturcode versehen. 
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Eingangsseitig in die Ausfuhrungseinheit eingekoppelte Daten werden typischerweise nicht mit einem 
Fehlererkennungs- und/oder Fehlerkorrekturcode versehen. Es wild hier lediglich eine Prufsumme der 
eingekoppelten Daten gebildet. Diese Prufsumme wird mit den in den Registern abgelegten Prufsum- 
men verglichen und bei einer Verfalschung werden die Daten korrigiert und nochmals in die Ausfuh- 
5 rungseinheit eingekoppelt, jedoch ohne Prufeumme. 

In einer ersten Ausgestaltung weist die FeUererkennungseinrichtung eine erste Vergleichseinheit auf, 
die den beiden Ausfuhrungseinheiten ausgangsseitig nachgeschaltet ist. Diese Vergleichseinheit ver- 
gleicht die von den Recheneinheiten berechneten Ergebnisdaten bzw. deren Feblerkorrektureodierung 
1 0 nach MaBgabe einer Fehlerbehandlungsroutine. Im Falle eines erkannten Fehlers, d. h. fur den Fall, 
dass die Ergebnisdaten bzw. die Feblerkorrektureodierung nicht ubereinstimmen, wird dies als Fehler 
erkannt und ein Fehlersignal ausgegeben. 

In einer weiteren Ausgestaltung weist die Feblererkennungseinrichtung eine zweite Vergleichseinheit 
1 5 auf, die zumindest einer der Ausfuhrungseinheiten eingangsseitig vorgescbaltet ist Diese Vergleichs- 
einheit vergleicht die einer jeweiligen Ausfuhrungseinheit zugefuhrten Operanden bzw. deren Febler- 
korrektureodierung nach MaBgabe einer Fehlerbehandlungsroutine. Bei Vorhandensein eines Fehlers, 
d. h. bei Abweichen der in der Vergleichseinheit miteinander verglichenen Eingangsdaten bzw. Feh- 
lerkorrekturkodierung, wird dies als Fehler interpretiert, woraufhin ein Fehlersignal ausgegeben wird. 



20 



In einer weiteren Ausgestaltung ist ein gemeinsames Datenregister, welches im Testbetriebsmodus 
beiden Ausfuhrungseinheiten zugeordnet ist, vorgesehen. In dieses gemeinsame Datenregister lassen 
sich Daten, die beispielsweise iiber einen Bus den Ausfuhrungseinheiten zugefuhrt werden sollen, 



25 

In einer weiteren Ausgestaltung kann ein Schattenregister vorgesehen sein, in dem die den jeweiligen 
Ausfuhrungseinheiten im Testbetriebsmodus vor der Berechnung zuletzt zugefuhrten Eingangsdaten 
abgelegt sind. In einer sehr einfachen Ausgestaltung kann ein solches Schattenregister als einfaches 
FIFO ausgebildet sein. Dieses FIFO wird erst dann weitergeschaltet und kann damit wieder beschrie- 
30 ben werden, wenn der Vergleich innerhalb der Vergleichseinheiten ergibt, dass kein Fehler vorliegt 

Hierfur ist vorteflhafterweise eine Steuereinrichtung vorgesehen, die eingangsseitig mit der Fehlerer- 
kennungseinrichlung und ausgangsseitig mit dem Schattenregister gekoppelt ist. Erkennt die Fehlerer- 
kennungseinrichtung, dass kein Fehler vorliegt, dann wird von der Steuereinrichtung ein Freigabesig- 
35 nal erzeugt, welches das Schattenregister zum emeuten Beschreiben wieder freigibt 
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Die erfmdungsgemaBe programmgesteuerte Einheit kann beispielsweise als Mikrokontxoller, Mikro- 
prozessor, Signalprozessor oder wie auch immer ausgestaltete Steuereinheit realisiert sein. 

In einem sehr vorteilhaften erfindungsgemaBen Verfahren werden die Eingangsdaten bzw. die berech- 
neten Eigebnisdaten oder deren Fehlerkodietung miteinander verglichen. Ergibt dieser Vergleich, dass 
die Daten bzw. Codes nicht miteinander ubereinstimmen, dann wild dies als Fehler interpretiert und es 
wird ein Fehlersignal erzeugt. 

In einer besonders vorteilhaften Ausgestaltung wird fur jeden dieser Fehler ein eigenes Fehlersignal 
ausgegeben, so dass aus dem Fehlersignal eine Lokalisierong des Fehlerortes moglich ist. Es lassen 
sich damit verschiedene Fehlerarten voneinander unterscheiden. Beispielsweise kann so ein Fehler, 
der dutch fehlerhafte Codierung auftritt, von einem Fehler, der aufgrund von fiber die Busleitungen 
eingekoppelten fehlerbaften Daten entsteht oder der innerhalb der Recheneinheit generiert wird, unter- 
schieden werden. Damit ist in sehr vorteilhafter Weise neben einer Fehlerquantifizierung auch eine 
Fehlerqualifizierung moglich. 

In einer besonders vorteilhaften Ausgestaltung werden die eingangsseitig in die Recheneinheiten ein- 
gekoppelten Operanden zunachst beiden Ausfuhrungseinheiten zugefuhrt. Erst anschlieBend wird aus 
diesen Eingangsdaten eine Priifsumme (zJB. Parity, CRC, ECC) gebildet und den eingangsseitigen 
Vergleichern zageffihrt. Damit wird das Datenverarbeitungssystem durch die eingangsseitige Fehler- 
korrektur in seiner Leistungsfahigkeit nicht nennenswert beeintrachtigt. 

In einer Weiterbildung des erfindungsgemaBen Verfahrens werden die abgelegten Eingangsdaten der 
letzten Berechnung erst wieder neu beschrieben, wenn ein Vergleich innerhalb einer Fehlererken- • 
nungseinrichtung ergibt, dass kein Fehler vorhegt. Auf diese Weise wird gewahrleistet, dass die ur- 
sprunglich eingekoppelten Daten bzw. deren Codierung auch bei einer fehlerbaften Berechnung in 
einer der Ausfuhrungseinheiten bzw. bei einem Codierungsfehler nicht verloren gehen. 

ZEICHNUNGEN 

Die Erfindung wird nachfolgend anhand der in den Figuren der Zeichnung angegebenen Ausfabrungs- 
beispiele naher erlautert Es zeigt dabei: 

Figur 1 ein erstes Fanktionsschaltbild, anhand dessen die erfindungsgemaBe programmgesteuerte 
Einheit sowie deren Betrieb beschrieben wird; 
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Figur 2 ein zweites Funtaonsschdtmld, anhand dessen die erfindungsgemaBe programmgesteuerte 
Einheit sowie deren Betrieb naher beschrieben wird. 

BESCHREmUNG DER AUSFOHRUNGSBEISPIELE 

5 

La den Figuren der Zeichmmg sind gleiche bzw. fiinktionsgleiche Elemente - sofern nichts anderes 
angegeben ist - mit gleichen Bezugszeichen versehen worden. Die erfindungsgemaBe programmge- 
steuerte Einheit sowie deren Komponenten wie Mikrocontrollerkern (CPU), Speichereinheiten, Peri- 
pherieeinheiten, etc. sind der besseren Ubersichtlichkeit halber in den Figur 1 und 2 nicht dargesteUt 
10 worden. 

In den Figur 1 und 2 sind mit den Bezugszeichen 1 und 2 jeweils arithmetisch logische Einheiten 
(ALU) bezeichnet Eine jeweilige ALU-Einheit 1, 2 weist zwei Eingange und einen Ausgang auf. In 
einem Testbetrieb konnen die zur Ausfuhrung vorgesehenen Operanden direkt vom Bus 3 in die Ein- 

1 5 gange der ALU-Einheiten 1, 2 eingekoppelt werden (nicht dargesteUt) oder vorher in einem eigens 

dafur vorgesehenen Operandenregister 8, 9 abgelegt sein. Diese Operandenregister 8, 9 sind direkt mit 
dem Datenbus 3 gekoppelt. Die beiden ALU-Einheiten 1, 2 werden also aus den gleichen Operanden- 
registern 8, 9 versorgt. Zusatzlich kann vorgesehen sein, dass die jeweiligen Operanden fiber den Bus 
bereits mit einer ECC-Kodierung versehen sind, welche in den Registerbereichen 8', 9 abgelegt wer- 

20 den. 

Bei Einkopplung der jeweffigen Operanden in die ALU-Einheiten 1, 2 muss besonderer Wert auf die 
korrekte Dateneingabe gelegt werden. Werden z. B. die gleichen fehlerhaften Operanden in die beiden 
ALU-Einheiten 1, 2 eingekoppelt, ist ein Fehler am Ausgang der ALU-Einheiten 1, 2 nicht erkennbar. 

25 Es muss daher sichergestellt sein, dass zumindest eine der ALU-Einheiten 1, 2 einen korrekten Daten- 
eingabewert erhalt bzw. auch beide ALU-Einheiten 1, 2 unterschiedhche, jedoch felsche Dateneinga- 
bewerte erhalten. Dies wird dadurch sichergesteUt, dass von zumindest einem Eingangswert einer 
ALU-Einheit 1, 2 eine Priifsumme (z.B. Parity, CRC, ECC) gebildet wird. In einer eigens vorgesehe- 
nen Vergleichseinheit 5, 6 wird die ECC-Kodierung 10', 1 1' aus diesen zusalzlichen Datenregistern 10, 

30 1 1 mit der ECC-Kodierung 8', 9' aus dem urspriinglichen Quellregister 8, 9 verghchen. Optional kon- 
nen auch die Eingangsdaten aus den Registern 10, 1 1 mit denen aus den Quellregistern 8, 9 verglichen 
werden (nicht dargesteUt). Ergibt sich ein Unterschied in der ECC-Kodierung bzw. bei den Operan- 
den, dann wird dies als Fehler interpretiert und es wird ein Fehlersignal ausgegeben. 

35 Dieser Vergleich erfolgt vorteilhafterweise wahrend der Bearbeitung der Operanden in den ALU- 
Einheiten 1, 2, so dass diese eingangsseitige Fehlererkennung und Fehlerkorrektur nahezu ohne Leis- 
tvmgsverlust einhergehi Erkennt eine der Vergleichseinheiten 5, 6 einen Fehler, so kann die Berech- 
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nung innerhalb des nachsten Zyklus wiederholtwerden. Dabei ist der Einsalz eines Schattenregisters 
empfehlenswert, urn immer die Operanden der letzten Berechnung zu sichem, damit sie in einem 
Fehlerfall schneU wieder verfugbar sind. Auf die BereitsteUung eines Schattenregisters kann allerdings 
verzichtet werden, wenn die jeweiligen Operandenregister 10, 11 erst wieder durch ein Freigabesignal 
auf Grund des Nichtvorhandenseins eines Fehlers erneut beschrieben werden. Im Falle eines Fehlers 
hefern die Vergleichseinheiten 5, 6 ein Fehlersignal, wodurch die Operandenregister 10, 11 nicht er- 
neut beschrieben werden. 

Die ALU-Einheiten 1, 2 erzeugen ausgangsseitig jeweils ein Ergebnis. Die von den ALU-Einheiten 1, 
2 bereitgestellten Ergebnisdaten bzw. deren ECC-Kodierung werden in den Ergebnisregistern 12, 13, 
12', 13' abgelegt Diese Ergebnisdaten und/oder deren Kodierung werden in der Vergleichseinheit 14 
miteinander vergUchen. Im FaUe des Nichtvorhandenseins eines Fehlers wird ein Freigabesignal 16 
erzeugt Dieses Freigabesignal 16 wird in die Fteigabeeinrichtung 15 eingekoppelt, welche dazu zu 
veranlasst wird, die Ergebnisdaten auf einen Bus 4 zu schreiben. Uber den Bus 4 konnen diese Ergeb- 
nisdaten dann weiter verarbeitet werden. 

Das Freigabesignal 16 kann femer dazu genutzt werden, die Register 8-11 wieder freizuschalten, so 
dass die nachsten Operanden von dem Bus 3 ausgelesen werden konnen und in den ALU-Einheiten 1, 
2 verarbeitet werden konnen. 

Mit der Anordnung in Figur 1 wild das Ergebnis nicht uberpruft Hier werden ledighch die Ergebnis- 
daten in der Vergleichseinheit 14 miteinander vergUchen. Eine Uberpriifung der ECC-Kodierung der 
Ergebnisdaten wird erst durch die Anordnung in Figur 2 moglich, bei der sowobl die Ergebnisdaten, 
als auch deren ECC-Codierung miteinander in der Vergleichseinheit 14 vergUchen werden. 

Mit der in den Figuren 1 und 2 angegebenen Fehlererkennungsanordnung werden alle transienten 
Febler, permanenten Fehler und auch Laufzeitfehler erkannt. Laufzeitfehler innerhalb einer ALU- 
Einheit 1, 2 werden erkannt, wenn das Ergebnis nicht oder zuspatzu der Vergleichseinheit 12 gelangt 
und somit ein Vergleich mit einem Teilergebnis erfolgt Durch die Absicherung der Operandenregister 
8, 9, 10, 1 1 mit Fehlererkennungs- und Fehlerkorrekturcode und dem Vergleich der Endergebnisse ist 
der jeweiUge Fehlerort und Fehlerzeitpunkt genau zu lokalisieren. Somit kann auf eine tamsiente Sto- 
ning sehr schnell reagiert werden. 

Es ergeben sich somit die folgenden MogUchkeiten der FehlerlokaUsierung: 

- Ergibt ein Vergleich der Ergebnisdaten in der Vergleichseinheit 14 einen Unterschied, dann 
kann auf einen Fehler innerhalb einer der ALU-Einheiten 1, 2 geschlossen werden. 
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- Ergibt ein Vergleich der ECC-Kodierang in einer der Vergleichseinheiten 5, 6 einen Unter- 
schied, dann kann anf ein fehlerhaftes Signal von dem Bus 3 bzw. vorgeschalteten Kompo- 
nenten geschlossen werden. 

- Ergibt ein Vergleicb der ECC-Kodierung in der Vergleichseinheit 14 einen Unterschied, dann 
kann aufeine fehlerhafte Kodierung des Ergebnisses geschlossen werden. 

Obwohl die voriiegende Erfindung vorstehend anband eines bevorzugten Ausfiinrungsbeispiels be- 
schreiben wurde, ist sie darauf nicht beschrankt, sondem auf vielfiltige dem Fachmann bekannte Art 
und Weise modifizierbar. 
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PATENT ANSPRCCHE 

1. Programmgesteuerte Einheit, mit einem einzigen Komrollerkem (Core), der eine erste und zumin- 
1 0 dest eine zweite Ausfuhrungseinheit (1, 2) aufweist, die in einem ersten Betriebsmodus unabhan- 

gig voneinander betreibbar sind und die in einem zweiten Betriebsmodus parallel die gleichen Be- 
fehle abarbeiten. 

2. Programmgesteuerte Einheit nach Anspruch 1, 
15 dadurch gekennzeichnet, 

dass eine Fehlererkennungseinrichtung (5, 6, 10, 11, 14) vorgesehen ist, die in dem zweiten Be- 
triebsmodus nach MaBgabe einer Fehlerbehandlungsroutine eine Fehleredcennung und/oder Feh- 
lerkorrektur vornimmt 

20 3. Programmgesteuerte Einheit nach Anspruch 2, 
dadurch gekennzeichnet, 

dass dieFeWererkennungseinrichtung (5, 6, 10', 11\ 13', 14) einenKodierer(10', 11'. 13') auf- 
weist, der den Ausfuhrungseinheiten (1, 2) eingangsseitig zugefuhrte Eingangsdaten und/oder von 
einer jeweiligen Ausmhrungseinheitberechnete Ausgangssignale mit einem Fehlererkennungsco- 
25 de und/oder mit einem Fehlerkorrekturcode versieht. 

4. Programmgesteuerte Einheit nach einem der Anspruche 2 oder 3, 
dadurch gekennzeichnet, 

dass die Fehlererkennungseinrichtung (5, 6, 10, 11, 14) den beiden Ausfubrungseinheiten aus- 
30 gangsseitig nachgeschaltete Vergleichseinheit (14) enthalt, die von den Ausfuhrungseinheiten ( 1, 

2) berechnete Ergebnisdaten und/oder deren FeMerkorrekturcodierung nach MaBgabe einer 
Fehlerbehandlungsroutine auf das Vorhandensein eines Fehlers veigleicht und bei Vorhandensein 
eines Fehlers ein Fehlersignal ausgibt. 



35 5. Programmgesteuerte Einheit nach einem der Anspruche 2 bis 4, 
dadurch gekennzeichnet, 
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dass die FeWeredcennungseimichtung (5, 6, 10, 1 1, 14) zumindest eine zweite, zumindest einer 
Ausfuhrungseinheit (1, 2) eingangsseitig vorgeschaltete Vergleichseinheit enthalt, die einer jewei- 
ligen Ausfuhrungseinheit eingangsseitig zugefuhrte Eingangsdaten mit den mit einer Priifeumme 
(z.B. Parity, CRC, ECC) versehenen Eingangsdaten nach MaJJgabe einer Fehlerdetektierroutine 
aufdas Vorhandensein eines Fehlers vergleicht und bei Vorhandensein eines Fehlers ein Fehler- 
signal ausgibt 

6. Programmgesteuerte Einheit nach einem der vorstehenden Anspruche, 
dadurch gekennzeichnet, 

dass zumindest ein Datenregister (8, 9) vorgesehen ist, welches zumindest einer der Ausfuhrung?- 
einheiten(l, 2) zugeordnet ist, welches ausgangsseitig sowohl mit den Eingangen der Ausfuh- 
rungseinheiten (1, 2) und den diesen vorgeschalteten Vergleichseinheit (5, 6) verbunden ist und in 
welchem die Eingangsdaten fur die Ausfuhrungseinheiten (1, 2) ablegbar sind. 

7. Programmgesteuerte Einheit nach einem der vorstehenden Anspruche, 
dadurch gekennzeichnet, 

dass ein Schattenregister vorgesehen ist, in dem die den Ausfuhrungseinheiten (1, 2) vor der Be- 
rechnung in den Ausfuhrungseinheiten zuletzt zugefiihrten Eingangsdaten abgelegt sind. 



8. Programmgesteuerte Einheit nach Anspruch 7, 
dadurch gekennzeichnet, 
dass das Schattenregister als FIFO ausgebildet ist 



9. Programmgesteuerte Einheit nach einem der vorstehenden Anspruche, 
dadurch gekennzeichnet, 

dass eine eingangsseitig mit der Fehlererkennungseinrichtung (5, 6, 10, 1 1, 14) und ausgangsseitig 
mit dem Schattenregister gekoppelte Steuereinrichtung vorgesehen ist, die ein Freigabesignal er- 
zeugt und damit das Schattenregister erst dann fteigibt, wenn von der Fehlererkennungseinrich- 
tung (5, 6, 10, 11, 14) kein Fehler erkannt wird. 

10. Programmgesteuerte Einheit nach einem der vorstehenden Anspruche, 
dadurch gekennzeichnet, 

dass die programmgesteuerte Einheit als MikrocontroUer oder Mikroprozessor ausgebildet ist. 

11. Verfahren zum Bertreiben einer programmgesteuerten Einheit nach einem der vorstehenden An- 
spruche, 

dadurch gekennzeichnet, 
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dass die Eiagangsdaten und/oder die berechneten Ergebnisdaten und/oder deren Fehlercodierung 
miteinander verglichen werden und bei Nichtubereinstimmung des Ergebnisses des Vergleichs ein 
Fehlersignal erzeugt wird. 

12. Verfahren nach Anspruch 11, 
dadurch gekennzeichnet, 

dass fiir jede Fehlerart ein eigenes Fehlersignal ausgegeben wird. 

13. Verfahren nach einem der Anspriiche 11 bis 12, 
dadurch gekennzeichnet, 

dass die Eingangsdaten zunachst beiden Ausffihrungseinheiten (1, 2) zugefuhrt werden und im 
AnschluB daran aus den Eingangsdaten der Fehlerkorrekturcode gebildet wird. 

14. Verfahren nach einem der Anspriiche 11 bis 13, 
dadurch gekennzeichnet, 

dass die abgelegten Eingangsdaten der letzten Berechnung erst wieder neu beschrieben werden, 
wenn ein Vergleich dieser Eingangsdaten oder der aus diesen Eingangsdaten berechneten Ergeb- 
nisdaten zu keinem Fehlersignal fuhrt 

15. Verfahren nach einem der Anspriiche 11 bis 14, 
dadurch gekennzeichnet, 

dass die Ergebnisdaten erst bei Nichtvorhandensein eines Fehlersignals auf den Bus gelegt wer~ 
den. 



WO 2004/092972 



PCT/EP2004/050465 



1/2 




WO 2004/092972 



PCT7EP2004/050465 



2/2 




